CVE-2021-32796mediumCWE-116

CVE-2021-32796: fallo de gravedad media en xmldom

Misinterpretation of malicious XML input in xmldom

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear xmldom+ Monitorear node-xmldom

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.5epss 1.4%
En resumen

La biblioteca xmldom no escapa correctamente caracteres especiales al remover elementos XML de su estructura padre, lo que puede causar que entrada XML maliciosa se interprete de forma inesperada y altere cómo las aplicaciones dependientes procesan los datos.

Detalle técnico

xmldom ≤0.6.0 no escapa adecuadamente caracteres especiales durante la serialización de nodos XML desvinculados, permitiendo que un atacante cree documentos XML maliciosos que sufran transformaciones sintácticas inesperadas cuando los procesen aplicaciones dependientes; la explotación requiere que la aplicación analice y serialice contenido XML no confiable.

Resumen generado y traducido por IA a partir de la descripción oficial.
xmldom is an open source pure JavaScript W3C standard-based (XML DOM Level 2 Core) DOMParser and XMLSerializer module. xmldom versions 0.6.0 and older do not correctly escape special characters when serializing elements removed from their ancestor. This may lead to unexpected syntactic changes during XML processing in some downstream applications. This issue has been resolved in version 0.7.0. As a workaround downstream applications can validate the input and reject the maliciously crafted documents.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
Productos afectados
xmldom · xmldom
CVEs relacionadas — xmldom

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-39353CRITICALxmldom allows multiple root nodes in a DOMEPSS 1.6%CVE-2021-21366MEDIUMMisinterpretation of malicious XML inputEPSS 1.3%CVE-2026-41673HIGHxmldom: Denial of service via uncontrolled recursion in XML serializationEPSS 0.6%CVE-2026-83611MEDIUMxmldom: Parser silently accepts a not-well-formed end tag whose name is followed by a line break and trailing contentEPSS 0.6%CVE-2026-83616HIGHxmldom: Processing Instruction Target Injection Bypasses requireWellFormedEPSS 0.6%CVE-2026-83608HIGHxmldom: DocType `name` Injection Bypasses requireWellFormedEPSS 0.6%